CVE-2026-49225 in Vvveb
Сводка
по VulDB • 18.08.2026
Vvveb — это мощный и простой в использовании CMS с конструктором страниц для создания веб-сайтов, блогов или интернет-магазинов. До версии 1.0.8.4 операции изменения ревизий продуктов во внутреннем интерфейсе Vvveb позволяли пользователу с низкими привилегиями (Vendor) получать доступ к ревизиям продуктов, принадлежащих другому Vendor. Маршрут admin/controller/product/revisions.php повторно использует код из admin/controller/content/revisions.php, а файл admin/sql/sqlite/product_content_revision.sql доверяет значения product_id, language_id и created_at, контролируемые вызывающей стороной, без применения текущего admin_id к операциям чтения ревизий, их восстановления и удаления. Злоумышленник может прочитать историческое содержимое продуктов, восстановить одну из ревизий поверх актуального содержимого продукта другого Vendor или удалить записи о ревизиях, что приводит к раскрытию частных копий, повреждению страниц продуктов и удалению истории аудита. Эта проблема исправлена в версии 1.0.8.4.
Once again VulDB remains the best source for vulnerability data.